使用双令牌身份验证

Ed25519 签名

1. 生成私钥：

   openssl genpkey -algorithm ed25519 -outform PEM -out SSL_KEY_NAME.private.key
   

   将 SSL_KEY_NAME 替换为密钥名称。

2. 从私钥生成公钥：

   openssl pkey -outform DER -pubout -in SSL_KEY_NAME.private.key |\
   tail -c +13 |\
   python3 -c "import base64, sys; print(('%s' % base64.urlsafe_b64encode(sys.stdin.buffer.read()))[2:-1])"
   

3. 创建包含单个公钥的新密钥集：

   控制台

   1. 在 Google Cloud 控制台中，前往 Media CDN 页面。

      前往媒体 CDN

   2. 点击密钥集标签页。

   3. 点击 add创建密钥集。

   4. 在名称中，输入唯一的密钥集名称。

   5. 可选：对于说明，输入密钥集的说明。

   6. 可选：点击添加标签，然后为密钥集输入一个或多个键值对。

   7. 点击添加公钥，然后执行以下操作：

      1. 在 ID 部分，输入字母数字 ID。
      2. 选择输入值，然后指定 Ed25519 公钥的 base64 编码值。

   8. 点击创建密钥集。

   gcloud

   使用 gcloud edge-cache keysets create 命令。

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --public-key='id=SSL_PUBLIC_KEY_NAME,value=SSL_PUBLIC_KEY_VALUE'
   

   替换以下内容：

   • SHORT_KEYSET_NAME：唯一的密钥集名称，例如 prod-vod-keyset
   • SSL_PUBLIC_KEY_NAME：SSL 公钥的名称
   • SSL_PUBLIC_KEY_VALUE：SSL 公钥的值

   如需查看与密钥集关联的密钥，请使用 gcloud edge-cache keysets describe 命令。

   gcloud edge-cache keysets describe prod-vod-keyset
   

   输出类似于以下内容：

   name: prod-vod-keyset
   description: "Keyset for prod.example.com"
   publicKeys:
   - id: "key-20200918"
     value: "DThVLjhAKm3VYOvLBAwFZ5XbjVyF98Ias8NZU0WEM9w"
   - id: "key-20200808"
     value: "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA="
   

   Terraform

   resource "google_network_services_edge_cache_keyset" "default" {
     name        = "prod-vod-keyset"
     description = "Keyset for prod.example.com"
     public_key {
       id    = "key-20200918"
       value = "FHsTyFHNmvNpw4o7-rp-M1yqMyBF8vXSBRkZtkQ0RKY" # Update Ed25519 public key
     }
     public_key {
       id    = "key-20200808"
       value = "Lw7LDSaDUrbDdqpPA6JEmMF5BA5GPtd7sAjvsnh7uDA=" # Update Ed25519 public key
     }
   }

对称密钥 HMAC

1. 如果您之前未使用过 Secret Manager，请配置 Secret Manager。

2. 创建 Secret。

3. 以二进制格式添加密文版本。

4. 向 Media CDN 服务账号授予 Secret Manager Access 角色 (roles/secretmanager.secretAccessor)：

   控制台

   1. 在 Google Cloud 控制台中，前往 Secret Manager 页面。

      转到 Secret Manager

   2. 选中相应 Secret 名称旁边的复选框。

   3. 点击显示信息面板。

   4. 在信息面板中，点击添加主账号。

   5. 在新的主账号部分，输入媒体 CDN 服务账号，格式如下：

      service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com
      

      将 PROJECT_NUMBER 替换为您的项目编号。

   6. 对于选择角色，请选择 Secret Manager，然后选择 Secret Manager Secret Accessor。

   gcloud

   使用 gcloud secrets add-iam-policy-binding 命令。

   gcloud secrets add-iam-policy-binding projects/PROJECT_NUMBER/secrets/SECRET_ID \
     --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-mediaedgefill.iam.gserviceaccount.com" \
     --role="roles/secretmanager.secretAccessor"
   

   替换以下内容：

   • PROJECT_NUMBER：您的项目编号
   • SECRET_ID：相应 Secret 的 ID

5. 访问您的 Secret 版本，并复制 Secret 路径（包括版本号）。

6. 使用验证共享密钥中的共享密钥创建新的密钥集：

   控制台

   1. 在 Google Cloud 控制台中，前往 Media CDN 页面。

      前往媒体 CDN

   2. 点击密钥集标签页。

   3. 点击 add创建密钥集。

   4. 在名称中，输入唯一的密钥集名称。

   5. 可选：对于说明，输入密钥集的说明。

   6. 可选：点击添加标签，然后为密钥集输入一个或多个键值对。

   7. 如需指定验证共享密钥，请点击添加验证共享密钥，然后执行以下操作：

      1. 对于 Secret，请从列表中选择一个 Secret，通过指定资源 ID 手动输入一个 Secret，或创建新 Secret，然后选择该 Secret。

      2. 对于密文版本，请从列表中选择一个版本，或创建新的密文版本，然后选择该版本。

   8. 点击创建密钥集。

   gcloud

   使用 gcloud edge-cache keysets create 命令。

   gcloud edge-cache keysets create SHORT_KEYSET_NAME \
     --validation-shared-key='secret_version=projects/PROJECT_NUMBER/secrets/SECRET_ID/versions/KEY_VERSION'
   

   替换以下内容：

   • SHORT_KEYSET_NAME：密钥集的唯一名称，例如 prod-vod-keyset
   • PROJECT_NUMBER：您的项目 ID
   • SECRET_ID：相应 Secret 的资源 ID
   • KEY_VERSION：您要使用的 Secret 版本

控制台

1. 创建或修改密钥集。

2. 在密钥部分中，选择使用Google-owned and managed key 进行双令牌身份验证。

gcloud 和 YAML

使用以下任一选项：

• 创建 Google 管理的签名密钥：

  gcloud edge-cache keysets create LONG_KEYSET_NAME \
      --public-key='id=google-managed-key,managed=true'
  

  将 LONG_KEYSET_NAME 替换为密钥名称，例如 prod-vod-keyset-long。

• 修改现有密钥集：

  1. 将密钥集导出到 YAML 文件。使用 gcloud edge-cache keysets export 命令。

     gcloud edge-cache keysets export LONG_KEYSET_NAME \
        --destination=prod-vod-keyset-long.yaml
     

  2. 在文本编辑器或配置管理工具中，修改密钥集配置，使其类似于以下内容：

     name: projects/my-project/locations/global/edgeCacheKeysets/LONG_KEYSET_NAME
     publicKeys:
     - id: some-key
       value: MC4CAQAwBQYDK2VwBCIEINV2iYugIWBuvGBJUQ_Ab69E4v4zcVqvgYHw-iZxGzcd
     - id: google-managed-key
       managed: true
     

  3. 导入修改后的键集。使用 gcloud edge-cache keysets import 命令：

     gcloud edge-cache keysets import LONG_KEYSET_NAME \
         --source=prod-vod-keyset-long.yaml
     

控制台

在主要清单路由上启用短时令牌身份验证：

1. 在 Google Cloud 控制台中，前往 Media CDN 页面。

   前往媒体 CDN

2. 如需打开服务的详情页面，请点击服务名称。

3. 如需切换到修改模式，请点击修改按钮。

4. 如需前往路由部分，请点击下一步。

5. 展开要向其添加主清单路由规则的主机规则。

6. 点击添加路由规则。

   或者，如需修改路线规则，请点击相应行中的edit修改。

7. 在修改路由规则窗格中，为优先级设置一个值，例如 1。

8. 在说明中，提供简短的说明，以便在规则列表中识别该规则。

9. 在匹配部分中，点击添加匹配条件。然后，执行以下操作：

   1. 对于匹配类型，选择路径模板匹配。
   2. 对于路径匹配，请指定 HLS 主播放列表 (M3U8) 或 DASH 清单 (MPD) 文件的名称或路径模板。如需了解详情，请参阅路径匹配。

10. 点击高级配置。

11. 在路由操作部分中，点击添加内容。

12. 对于类型，选择 CDN 政策。

13. 在签名请求部分，针对签名请求模式，选择需要令牌。

14. 在已签名的请求密钥集部分中，执行以下操作：

    1. 如需指定短时令牌的密钥集，请点击选择密钥集，然后选择您的短时令牌密钥集。

       或者，如需创建包含所需密钥的新密钥集，请点击创建新密钥集。然后，选择该文件。

    2. 对于签名算法，选择使用公钥的 Ed25519。

    3. 对于令牌查询参数，保留默认值 edge-cache-token。

       或者，如果您计划使用 HLS 清单网址查询参数（而非 Cookie）进行身份验证，请指定用于存储请求令牌的参数。

    4. 对于最长有效时间，请以秒为单位指定传入请求令牌的最长有效时间。

15. 如需保存路线操作部分中的更改，请点击完成。

16. 如需保存路线规则中的更改，请点击保存。

gcloud 和 YAML

1. 将 Media CDN 配置导出到 YAML 文件中。使用 gcloud edge-cache services export 命令。

   gcloud edge-cache services export SERVICE_NAME \
       --destination=FILENAME.yaml
   

   替换以下内容：

   • SERVICE_NAME：服务的名称
   • FILENAME：您的 YAML 文件的名称

2. 如需在主清单路由规则中启用短时令牌身份验证，请在 YAML 文件的路由 cdnPolicy 部分中指定 signedTokensOptions 配置。

     pathMatchers:
     - name: "ROUTE_NAME"
       routeRules:
       - priority: 1
         description: "ROUTE_DESCRIPTION"
         origin: "ORIGIN_NAME"
         matchRules:
         - pathTemplateMatch: "/MANIFEST_OR_PLAYLIST"
         routeAction:
           cdnPolicy:
             cacheMode: CACHE_ALL_STATIC
             signedRequestMode: REQUIRE_TOKENS
             signedRequestKeyset: SHORT_KEYSET_NAME
             signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
             signedTokenOptions:
               tokenQueryParameter: SHORT_TOKEN_NAME
   

   替换以下内容：

   • ROUTE_NAME：路由规则的名称
   • ROUTE_DESCRIPTION：路由规则的说明
   • ORIGIN_NAME：来源名称
   • MANIFEST_OR_PLAYLIST：HLS 主播放列表 (M3U8) 或 DASH 清单 (MPD) 文件的名称。如需了解详情，请参阅路径匹配。
   • SHORT_KEYSET_NAME：用于短时令牌的密钥集名称
   • SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME：签名请求的过期时间，例如 600s。如需了解详情，请参阅 signedRequestMaximumExpirationTtl。
   • 可选：SHORT_TOKEN_NAME：用于查找短令牌的查询参数。默认值为 edge-cache-token。如需了解详情，请参阅 SignedTokenOptions。

   使用对称密钥 HMAC 时，在 signedTokenOptions 部分中，附加 allowedSignatureAlgorithms，并将其值设为 HMAC_SHA_256：

          allowedSignatureAlgorithms:
          - HMAC_SHA_256
   

3. 如需更新服务，请从 YAML 文件导入 Media CDN 配置。使用 gcloud edge-cache services import 命令。

   gcloud edge-cache services import SERVICE_NAME \
       --source=FILENAME.yaml
   

控制台

修改主清单路由规则，以便媒体 CDN 可以在相应路由上生成长期令牌：

1. 在修改路由规则页面上，点击高级配置。
2. 对于类型，选择 CDN 政策。
3. 展开双令牌身份验证。
4. 对于签名操作，选择生成新的长时令牌。

5. 对于签名类型，请选择以下任一选项：

   • 通过 Cookie（适用于 HLS 和 DASH 流式传输）：配置媒体 CDN 以返回包含主清单响应的 Edge-Cache-Cookie。
   • 通过 HLS 清单网址查询参数（不使用 Cookie）：配置 Media CDN 以通过将长期令牌附加到每个网址来操纵 HLS 主清单。

6. 在生成新的长时令牌部分中，执行以下操作：

   1. 如需为长期令牌指定密钥集，请点击选择密钥集，然后选择您的长期令牌密钥集。

      或者，点击创建新密钥集，以创建包含所需密钥的新密钥集。然后，选择该文件。

   2. 对于令牌 TTL，请以秒为单位指定长效令牌的最长生命周期。

   3. 对于签名类型，如果您选择了通过 Cookie 选项，请在复制的参数部分中选择您希望 Media CDN 从短时令牌复制到长时令牌的参数。如需使用双令牌身份验证，您必须选择 PathGlobs（或其别名 acl 或 paths）或 URLPrefix。

      如果您选择了通过 HLS 清单网址查询参数选项，请为令牌查询参数保留默认值 edge-cache-token。

7. 如需保存路线操作部分中的更改，请点击完成。

8. 如需保存路线规则中的更改，请点击保存。

   系统会显示一条消息，询问您是希望自动还是手动创建媒体播放列表和媒体片段的路由。如果您选择自动选项，系统会为 Cookie 签名创建一个新的路由，并为无 Cookie 签名创建两个路由。如果您选择手动选项，请继续学习下一部分。

gcloud 和 YAML

修改主清单路由规则的 addSignatures 部分，以便 Media CDN 可以在相应路由上生成长时效令牌：

          addSignatures:
            actions:
              - GENERATE_COOKIE
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID

Set-Cookie: Edge-Cache-Cookie=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

          addSignatures:
            actions:
              - GENERATE_TOKEN_HLS_COOKIELESS
            keyset: LONG_KEYSET_NAME
            tokenTtl: TOKEN_EXPIRATION_TIME
            copiedParameters:
              - PathGlobs
              - SessionID
            tokenQueryParameter: LONG_TOKEN_NAME

#EXTM3U
#EXT-X-STREAM-INF:BANDWIDTH=1280000,AVERAGE-BANDWIDTH=1000000
http://example.com/HLS_PRIMARY_PLAYLIST.m3u8?LONG_TOKEN_NAME=PathGlobs=PATHS~SessionID=SESSION_ID~Expires=EXPIRATION~_GO=Generated~Signature=SIGNATURE

控制台

gcloud 和 YAML

修改 YAML 文件：

    - priority: 2
      description: "SEGMENTS_ROUTE_DESCRIPTION"
      origin: "ORIGIN_NAME"
      matchRules:
      - pathTemplateMatch: "/**.m3u8" # HLS media playlists
      - pathTemplateMatch: "/**.ts" # HLS segments
      - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
      routeAction:
        cdnPolicy:
          cacheMode: CACHE_ALL_STATIC
          signedRequestMode: REQUIRE_TOKENS
          signedRequestKeyset: LONG_KEYSET_NAME

Cookie

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_MASTER_PLAYLIST.m3u8" # HLS primary playlists
        - pathTemplateMatch: "/DASH_MANIFESTS.mpd" # DASH manifests
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            addSignatures:
              actions:
                - GENERATE_COOKIE
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        - pathTemplateMatch: "/**.ts" # HLS segments
        - pathTemplateMatch: "/**.m4s" # DASH / CMAF segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME

网址查询参数

name: SERVICE_NAME
routing:
  hostRules:
  - hosts:
    - DOMAIN_NAME
    pathMatcher: routes
  pathMatchers:
    - name: "ROUTE_NAME"
      routeRules:
      - priority: 1
        description: "ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/HLS_PRIMARY_PLAYLIST.m3u8" # HLS primary playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: SHORT_KEYSET_NAME
            signedRequestMaximumExpirationTtl: SIGNED_REQUEST_MAXIMUM_EXPIRATION_TIME
            signedTokenOptions:
              tokenQueryParameter: SHORT_TOKEN_NAME
            addSignatures:
              actions:
                - GENERATE_TOKEN_HLS_COOKIELESS
              keyset: LONG_KEYSET_NAME
              tokenTtl: TOKEN_EXPIRATION_TIME
              tokenQueryParameter: LONG_TOKEN_NAME
              copiedParameters:
                - PathGlobs
                - SessionID
      - priority: 2
        description: "PLAYLIST_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.m3u8" # HLS media playlists
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME
            addSignatures:
              actions:
                - PROPAGATE_TOKEN_HLS_COOKIELESS
      - priority: 3
        description: "SEGMENTS_ROUTE_DESCRIPTION"
        origin: "ORIGIN_NAME"
        matchRules:
        - pathTemplateMatch: "/**.ts" # HLS segments
        routeAction:
          cdnPolicy:
            cacheMode: CACHE_ALL_STATIC
            signedRequestMode: REQUIRE_TOKENS
            signedRequestKeyset: LONG_KEYSET_NAME